Contrato de encargo del tratamiento

Este contrato regula cómo trata Caliri & Silva, S.L. los datos de tu gente cuando usas ChatyChat, como exige el artículo 28 del Reglamento General de Protección de Datos (RGPD). Se acepta al crear la cuenta. Versión 2026-11-05.

1. Quién es quién

• El responsable del tratamiento eres tú, el negocio que contrata ChatyChat. Decides para qué y cómo se usan los datos de tu gente.
• El encargado es Caliri & Silva, S.L., con NIF B21977152 y domicilio en Carrer de Corominas 19, esc. 1, pta. 2 — 08902 L'Hospitalet de Llobregat, Barcelona. Trata esos datos por cuenta tuya.

2. Qué se trata y para qué

Sólo para prestarte el servicio: recibir los comentarios y mensajes de tu Instagram, guardarlos, mostrártelos, contestarlos según lo que configures y, si la enciendes, redactar respuestas con inteligencia artificial.

• Personas afectadas: quienes escriben o comentan en tu cuenta, y las personas de tu equipo.
• Datos: nombre de usuario e identificador de Instagram, el texto de comentarios y mensajes, las etiquetas que pongas y los datos que una persona deje cuando se los pidas, como un correo o un teléfono.
• Duración: mientras seas cliente.

3. A qué se compromete el encargado

• Tratar los datos sólo siguiendo tus instrucciones, salvo que la ley exija otra cosa. Si una instrucción le parece contraria a la ley, te avisa.
• No vender los datos, no cederlos con fines comerciales y no usarlos para publicidad ni para entrenar modelos.
• Que quien acceda a ellos tenga deber de confidencialidad.
• Aplicar medidas de seguridad adecuadas: conexiones cifradas, los datos de cada cliente separados de los demás, y accesos con nombre y registro.
• Ayudarte a atender los pedidos de acceso, corrección, borrado, limitación, oposición y portabilidad de tu gente.
• Avisarte sin demora indebida si conoce una brecha de seguridad que afecte a esos datos, con lo que sepa para que puedas cumplir tus obligaciones.
• Ayudarte, cuando corresponda, con evaluaciones de impacto y consultas a la autoridad de control.
• Darte la información necesaria para demostrar que cumple, y permitir auditorías razonables, avisando con antelación.

4. Subencargados

Autorizas al encargado a usar a estos proveedores, que aceptaron obligaciones de protección de datos equivalentes. El encargado responde por ellos ante ti.

Cloudflare, Inc. — alojar el servicio y guardar los datos

Las bases de datos están en Europa Occidental. El código se ejecuta en la red de Cloudflare, que puede procesar una petición fuera de la UE mientras la atiende.

OpenAI Ireland Ltd. — redactar las respuestas

Se le envía el texto del comentario o mensaje, sin los correos ni teléfonos que aparezcan en él, y la información que el negocio haya cargado sobre sí mismo. Cuando alguien del negocio usa el asistente de soporte, se le envía su pregunta y un resumen de su cuenta: automatizaciones, palabras, cuentas de lo recibido y contestado, motivos de fallo y lo hecho en el panel, sin textos de las personas que escriben al negocio. No se le envían los identificadores de las personas ni sus nombres de usuario. No entrena sus modelos con estos datos y puede conservarlos hasta 30 días para detectar abusos. Puede tratarlos fuera de la Unión Europea, con las garantías que exige el RGPD.

Meta Platforms, Inc. — recibir y enviar los mensajes de Instagram

Es la propia Instagram. Los datos salen de ahí y vuelven ahí.

Resend, Inc. — enviar los correos de la cuenta y los avisos al negocio

Recibe el correo de quien usa el panel y el texto del aviso. No recibe datos de las personas que escriben al negocio.

Si el encargado va a sumar o cambiar uno, te avisa por correo antes. Puedes oponerte dentro de los 30 días siguientes; si no se encuentra una solución, puedes dar de baja el servicio.

5. Transferencias fuera de la Unión Europea

Algunos subencargados pueden tratar datos fuera del Espacio Económico Europeo. Lo hacen con las garantías del capítulo V del RGPD, como las cláusulas contractuales tipo de la Comisión Europea o una decisión de adecuación.

6. La inteligencia artificial

Para redactar una respuesta se le envía a OpenAI el texto de la conversación y lo que cargaste sobre tu negocio. Antes de enviarlo se quitan los correos y teléfonos que aparezcan, y no se envían identificadores ni nombres de usuario. OpenAI no entrena sus modelos con estos datos y puede conservarlos hasta 30 días para detectar abusos. Si en una conversación aparece otro dato personal, podría viajar con el texto. Por eso, no cargues en lo que sabe el asistente datos de personas ni contraseñas.

7. Lo que te corresponde a ti

• Tener una base legal para tratar los datos de tu gente e informarle, incluido que usas este servicio.
• Dar instrucciones que cumplan la ley.
• Atender a tu gente cuando ejerza sus derechos. Si le llega al encargado, te lo pasa.

8. Cuando termina

Al terminar el servicio, y según indiques, el encargado te devuelve los datos o los borra, junto con tus archivos, salvo lo que la ley le obligue a conservar. OpenAI borra lo que haya retenido dentro de los plazos indicados arriba.

9. Contacto

Para cualquier cosa sobre este contrato: juani@j-dev.es.